VMware corrige vulnerabilidade crítica em produto em fim de vida

01/11/2022 mindsecblog Notícias 0

VMware corrige vulnerabilidade crítica em produto em fim de vida. Vulnerabilidade crítica permite execução remota de código.

A VMware anunciou esta semana patches para uma vulnerabilidade crítica de execução remota de código no VMware Cloud Foundation e no NSX Data Center for vSphere (NSX-V).

Rastreado como CVE-2021-39144 (pontuação CVSS de 9,8), o defeito de segurança existe no XStream, uma biblioteca de código aberto para serializar objetos para XML e vice-versa.

O bug afeta todas as iterações do XStream até e incluindo a versão 1.4.17. Apenas versões prontas para uso são afetadas, mas não aquelas em que a estrutura de segurança do XStream foi configurada com uma lista de permissões limitada aos tipos mínimos necessários.

“Devido a um endpoint não autenticado que aproveita o XStream para serialização de entrada no VMware Cloud Foundation (NSX-V), um agente mal-intencionado pode obter execução remota de código no contexto de ‘root’ no dispositivo”, observa a VMware em seu comunicado.

O NSX-V 6.4.x atingiu o fim do suporte geral em janeiro de 2022. A VMware diz que normalmente não menciona produtos em fim de vida (EOL) em seus avisos, mas, neste caso, decidiu lançar o patch devido à gravidade crítica da vulnerabilidade.

A VMware diz que todas as versões do NSX-V anteriores à 6.4.14 e VMware Cloud Foundation (VCF) 3.x foram afetadas. A vulnerabilidade foi resolvida com o lançamento do NSX-v 6.4.14 e VCF 3.11.0.1.

O comunicado da VMware também descreve uma vulnerabilidade XML External Entity (XXE) de gravidade média no VCF (CVE-2022-31678) que pode ser explorada por invasores não autenticados para causar uma condição de negação de serviço (DoS) ou vazar informações.

De acordo com o engenheiro sênior de pesquisa da Tenable, Satnam Narang, a gravidade crítica da vulnerabilidade e o fato de a VMware ter escolhido lançar um patch para ela podem indicar que é fácil de explorar e que a exploração selvagem pode ser observada em breve.

“Embora essa vulnerabilidade não esteja no nível das falhas do Log4j, ela serve como um lembrete dos riscos da cadeia de suprimentos por meio do uso de software de código aberto”, disse Narang.